一串版本號先被排好了：WordPress 的 CVE-2026-87902，是一頁被設計過的處置介面

2026 年 9 月 25 日，美國 CISA 把 WordPress 核心漏洞 CVE-2026-87902 列入已知遭利用漏洞目錄。四天後，各方的處置指引開始在網路上流傳。這類消息通常被讀成「又一個漏洞」，但換個角度看，它其實是一頁排版極為講究的介面：幾組數字、一份版本對照表、一串照順序執行的步驟，決定了全球數百萬網站管理者在接下來幾天裡的動作。

先看數字。NVD 給出 CVSS 8.1，高風險；FIRST 的 EPSS 在 9 月 29 日評出 19.8% 的利用機率。這兩個數字功能不同：前者衡量一旦被攻擊會有多嚴重，後者估計未來三十天內被實際利用的機率。把兩者並排，是資安公告長年演化出的排版慣例，管理者先被數字說服「該處理」，才會往下讀。值得注意的是，EPSS 的 19.8% 在原文裡被特別註明「不是網站是否已被入侵的判定」，這句保留空間的措辭，比數字本身更見功夫。

再看版本清單。官方公告列出的修補版本是 7.1.2、7.0.6、6.9.9、6.8.10，較舊的 4.7 到 6.8 分支也有回補版本。這份清單的設計難處在於：WordPress 的分支眾多，若只寫「請更新至最新版」，大量無法立即跳版的管理者會直接被排除在處置之外。於是公告被排成分支對照表，每個分支有自己的安全版本號，管理者的第一個動作被明確定義為「確認版本」，而版號判讀的責任則留在文件端。這與我們先前分析的蘋果安全公告作為信任介面是同一門功課：把複雜的技術狀態，排成一般人能逐行核對的欄位。

最值得觀察的是這個漏洞的攻擊條件如何被描述。網路遠端可利用、無需帳號、無需登入、不需要受害者操作。這幾個「無」構成了它與一般釣魚類漏洞的關鍵差異，也解釋了為什麼 CISA 的 KEV 目錄要把它列入強制處置範圍：管理者不能指望使用者警覺來擋下攻擊，因為整個流程裡沒有使用者。

處置步驟的排序也有設計。備份先於更新，更新先於功能測試；無法立即更新時，才輪到 CISA 的緩解措施與資產暴露評估。原文甚至把「懷疑已被入侵」的情境單獨拉出來，明確寫下「不能只更新版本就結案」，要限制公開存取、保留紀錄、重設密碼與金鑰、從乾淨備份恢復。這種把壞情境寫進說明文件的做法，是把使用者的慌亂預先考慮進介面裡。

從設計的角度說，這份公告做得好的地方，在於它沒有把「高風險」當成情緒訴求，而是把風險拆成可核對的欄位：版本號、評分、日期、步驟。管理者照著走，不需要懂漏洞原理也能完成處置。數字會嚇人，但排好版的數字才能指揮行動，這正是資安溝通最容易被忽略的一層設計。